Diebstahl bei EU-Organisation: Spur von 133 Mio. Dollar führt über Kraken

ZachXBT findet weitere Abhebungen nach seiner Warnung

Am 2. November hatte ZachXBT vor dem Verlust von mehr als 106 Millionen Dollar (rund 94,7 Millionen Euro) gewarnt. Am Morgen des 3. November legte er auf seinem Telegram-Kanal nach: Er habe weitere Abhebungen von Börsen über mehr als 27 Millionen Dollar (rund 24,1 Millionen Euro) gefunden, die auf den Täter zurückgingen. Ein Teil davon sei erst nach seiner ersten Warnung erfolgt.

Seine Arbeitshypothese: Ein großes Finanzinstitut in Westeuropa sei angegriffen worden und vertusche den Vorfall derzeit. Weil eine ordentliche Meldung ausgeblieben sei, seien mehr als 30 Millionen Dollar (rund 26,8 Millionen Euro) gewaschen worden, die europäische Strafverfolgungsbehörden hätten einfrieren können. Belege für eine Vertuschung nennt er nicht. Öffentlich bestätigt hat den Verlust bislang niemand.

Bitquery: 95 Prozent der Abhebungen kamen von Kraken

Das Blockchain-Analyseunternehmen Bitquery hat die Geldflüsse auf Ethereum in einer ausführlichen Untersuchung nachgezeichnet. Demnach gingen am 1. und 2. November binnen 21 Stunden 108,8 Millionen Dollar (rund 97,2 Millionen Euro) in USDC an 15 Wallets, abgehoben bei OKX, Crypto.com und vor allem Kraken. Die erste Abhebung verließ OKX am Sonntag um 13:25 Uhr MEZ, Kraken folgte 44 Minuten später und zahlte am Ende 95 Prozent der Summe aus.

Auf Ethereum zählt Bitquery damit weniger als ZachXBT. Vier Wallets, die in dessen erster Liste fehlten, erhielten zusammen 28 Millionen Dollar (rund 25 Millionen Euro), fast so viel wie die nachträglich gefundenen Abhebungen. Den Rest der höheren Summe vermutet Bitquery auf anderen Blockchains.

Elf der 15 Wallets hatten schon vor dem Diebstahl Geld von denselben Börsen erhalten, einzelne seit Mai. Bitquery hält sie deshalb für Wallets des Opfers. Der Täter hatte demnach wohl nicht nur die Zugangsdaten zu den Börsenkonten, sondern auch die Schlüssel zu diesen Wallets. Das spreche für einen Einbruch in die Geräte oder die Wallet-Einrichtung des Opfers oder für einen Innentäter, die Blockchain-Daten allein könnten das nicht unterscheiden. Eine neue Wallet erhielt binnen 91 Minuten 43 Abhebungen von Kraken, jede unter 50.000 Dollar (rund 44.650 Euro), offenbar, um ein Limit pro Auszahlung zu umgehen.

In vier Stunden in Ether getauscht

Den nächsten Schritt erledigte der Täter schnell. In der Nacht auf Montag, zwischen 0:44 Uhr und 5:02 Uhr MEZ, verkaufte eine neue Wallet über ein Auktionsverfahren der dezentralen Börse Uniswap USDC und USDT für 62,98 Millionen Dollar (rund 56,2 Millionen Euro) und erhielt dafür 27.553 Ether, rund 2.286 Dollar (rund 2.041 Euro) je Coin. Anders als USDC lässt sich Ether von niemandem einfrieren. Ein weiterer Teil landete im Stablecoin DAI, der keine Sperrfunktion hat.

Eingegriffen hat laut Bitquery bislang nur Tether. Der Herausgeber sperrte in der Nacht auf den 3. November um 0:10 Uhr MEZ 1,14 Millionen USDT (rund 1 Million Euro). Circle habe dagegen keine der 2,53 Millionen USDC (rund 2,3 Millionen Euro) eingefroren, die noch beim Täter lagen. Beim Binance-Hack hatten Tether und Circle binnen Stunden mehr als 2 Milliarden Dollar (rund 1,8 Milliarden Euro) gesperrt, Tether allein 1,5 Milliarden Dollar (rund 1,3 Milliarden Euro) in 30 Minuten. Ob jemand Circle um eine Sperre gebeten hat, wisse man nicht, schreibt Bitquery.

Ein großer Teil der Beute liegt noch auf Ethereum

Am 3. November um 14:27 Uhr MEZ lagen laut Bitquery noch 61 Millionen Dollar (rund 54,5 Millionen Euro) in Adressen, die dem Täter zugeordnet werden, überwiegend in Ether. Netto 50,29 Millionen Dollar (rund 44,9 Millionen Euro) hatten seine Wallets bereits verlassen. Das Geld floss unter anderem über Brücken zu anderen Blockchains, über Sofort-Tauschdienste und an eine Einzahlungsadresse bei der Börse Kucoin, die wahrscheinlich zum Sammelkonto der europäischen Börse Kyrrex gehört. Einen Teil wandelte der Täter über den Dienst Wagyu in Monero um.

Auch Kraken kann nun nachverfolgen, wohin ein Teil der Beute ging. Am 3. November landeten 396 Ether auf einer Einzahlungsadresse, die zu einem bestehenden Kraken-Konto gehört. Die Börse könne sehen, wessen Konto das ist, schreibt Bitquery. Ob es dem Täter, einem Helfer oder einem bezahlten Dienst gehört, lasse sich auf der Blockchain nicht erkennen.

Wer bestohlen wurde, ist weiter offen. Bitquery konnte keine der 15 Wallets einem Unternehmen zuordnen. Das Zahlungsmuster passe eher zu einem Handels- oder Zahlungsunternehmen, das mit gewöhnlichen Wallets arbeitet, als zu einem Fonds, der seine Coins bei einem Verwahrer hält. Diese Einschätzung sei aber unsicher. Die nordkoreanische Lazarus-Gruppe hält ZachXBT für unbeteiligt, dagegen sprächen mehrere Merkmale der Geldwäsche.

Was die EU von bestohlenen Finanzunternehmen verlangt

Ob die bestohlene Organisation ein beaufsichtigtes Finanzunternehmen ist, ist nicht bekannt. Für Banken, Wertpapierfirmen und Kryptodienstleister in der EU gilt seit dem 17. Januar 2025 die Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA). Nach Artikel 19 der Verordnung melden Finanzunternehmen schwerwiegende Vorfälle in der Informations- und Kommunikationstechnik (IKT) der zuständigen Behörde. In Deutschland ist das die Finanzaufsicht Bafin.

Hat ein solcher Vorfall Auswirkungen auf die finanziellen Interessen von Kunden, unterrichten die Unternehmen diese zudem „unverzüglich“ über den Vorfall und die ergriffenen Gegenmaßnahmen. Von einer Pflicht, den Vorfall öffentlich bekannt zu machen, ist in dem Artikel keine Rede.